Um Estudo Empírico sobre a Disrupção de Dados por Ataques de Ransomware

A ameaça de ransomware ao ecossistema de software tem se tornado cada vez mais alarmante nos últimos anos, gerando uma demanda por uma análise de ransomware em larga escala e abrangente para ajudar a desenvolver contra-medidas mais eficazes contra ataques desconhecidos. Neste artigo, primeiro coletamos um conjunto de dados do mundo real, MarauderMap, consistindo de 7.796 amostras ativas de ransomware, e analisamos seus comportamentos de interrupção de dados em sistemas vítimas. Todas as amostras são executadas em ambientes de teste isolados para coletar todas as perspectivas de seis categorias de comportamentos de tempo de execução, como chamadas de API, acessos de I/O e tráfego de rede. O volume total de logs chega a 1,98 TiB. Ao avaliar os comportamentos coletados, apresentamos seis descobertas críticas ao longo das fases de reconhecimento de dados, adulteração de dados e exfiltração de dados dos ataques de ransomware. Com base em nossas descobertas, propomos três estratégias de mitigação correspondentes para detectar ransomware durante cada fase. Os resultados experimentais mostram que elas podem melhorar a capacidade das ferramentas anti-ransomware de última geração. Relatamos um resultado preliminar de um aumento na taxa de detecção de 41%-69% sem falsos positivos adicionais, mostrando que nossas percepções são úteis.